Ingeniero de Seguridad Sénior y CISO

• Más de 5 años en ingeniería de seguridad, seguridad de aplicaciones o productos, o ingeniería de software/plataforma con un enfoque de seguridad sostenido y demostrable.

• Experiencia práctica en pruebas de penetración en aplicaciones web, APIs e infraestructura en la nube, con capacidad para producir hallazgos claros y reproducibles y validar las correcciones.

• Habilidades de revisión de código de producción en JavaScript/TypeScript, Python, Go o un lenguaje comparable, con conocimiento práctico de riesgos de autenticación, autorización, inyección, exposición de datos y lógica de negocio.

• Experiencia en modelado de amenazas y diseño seguro que convierta riesgos ambiguos en requisitos de ingeniería accionables y decisiones de arquitectura defendibles.

• Sólida experiencia en seguridad de AWS en entornos multi-cuenta, incluyendo IAM, redes, KMS, servicios de registro y detección, y configuración de cargas de trabajo.

• Experiencia en Cloudflare o seguridad de edge comparable que cubra WAF, rate limiting, gestión de bots, DNS/TLS y controles de acceso.

• Experiencia en seguridad de GitHub y CI/CD con protección de ramas, flujos de trabajo de revisión, reglas de repositorio, permisos de flujo de trabajo, higiene de tokens y automatización segura.

• Conocimiento de herramientas de SDLC seguro como SAST, DAST, análisis de composición de software, escaneo de secretos, escaneo de contenedores y cómo ajustar los controles para que los ingenieros actúen sobre los resultados.

• Seguridad de la cadena de suministro de software e IaC, incluyendo riesgos de dependencias y artefactos, y la capacidad de revisar Terraform, Helm o configuraciones similares en busca de brechas de seguridad.

• Habilidades prácticas de automatización en Python, Bash, Go o JavaScript para ampliar las pruebas, analizar evidencias y construir herramientas de seguridad ligeras.

• Responsabilidad sobre el ciclo de vida de las vulnerabilidades, desde el triaje basado en riesgos y los objetivos de remediación hasta el retesteo, el cierre y las métricas útiles.

• Experiencia en fintech u otro entorno regulado donde los registros de auditoría, la calidad de la evidencia, la protección de datos y la colaboración interfuncional sean importantes.

• Inglés y español fluidos con la capacidad de explicar un hallazgo técnico a un ingeniero y comunicar su riesgo empresarial a las partes interesadas de alto nivel; requisito indispensable dado que este puesto tiene responsabilidades ante la CNMV y el Consejo en España.

• Experiencia en gobernanza regulatoria y DORA en un entorno de servicios financieros europeos, incluyendo marcos de gestión de riesgos de las TIC, pruebas de resiliencia operativa digital, registros de terceros de las TIC y haber actuado como regulador o punto de contacto del Consejo; la experiencia con la CNMV es una gran ventaja.

• Debe estar dispuesto a someterse a las comprobaciones de antecedentes aplicables, de conformidad con las leyes y reglamentos locales, si es seleccionado.

• Profundidad en seguridad ofensiva demostrada mediante un OSCP, OSWE, certificación comparable, investigación, divulgaciones responsables o un sólido portafolio práctico.

• Experiencia en seguridad de activos digitales, fintech o pagos, especialmente con modelos de amenazas de robo de cuentas (account-takeover), fraude adyacente, custodia o integridad de transacciones.

• Experiencia en ingeniería de detección y respuesta utilizando telemetría en la nube, herramientas SIEM o simulación de ataques para mejorar las detecciones y los manuales de respuesta accionables.

• Experiencia en divulgación de vulnerabilidades o bug bounty triando informes de investigadores, gestionando la comunicación y coordinando correcciones y retesteos.

• Familiaridad con MiCA u otros marcos regulatorios de activos digitales de la UE, junto con su experiencia principal en DORA.

• Experiencia trabajando en entornos regulados por GDPR / SOC.

Sobre Ledn
Ledn es el prestamista líder respaldado por bitcoin, dedicado a proporcionar soluciones basadas en activos digitales de forma segura, transparente y eficiente. Nuestra misión es ayudar a los clientes a construir riqueza a largo plazo en activos sólidos ofreciendo una suite de productos innovadores, que incluyen cuentas con generación de intereses, préstamos y servicios de trading. Sirviendo a más de 100 mercados con 11.000 millones de dólares en préstamos emitidos desde 2018, Ledn continúa expandiendo su alcance, asegurando que los clientes puedan acceder a productos financieros fiables dondequiera que estén.

Como Senior Security Engineer & CISO (España) a tiempo completo, serás un colaborador individual con gran capacidad de ejecución y responsabilidad, encargado de reforzar la seguridad de los productos, la nube y la entrega de software de Ledn. Encontrarás vulnerabilidades antes que los atacantes, construirás controles que eviten que clases enteras de problemas lleguen a producción y ayudarás a los ingenieros a realizar despliegues seguros. Este es un rol de "constructor y destructor": evaluarás nuestras aplicaciones, APIs, entorno AWS, el edge de Cloudflare y los flujos de trabajo de GitHub desde la perspectiva de un adversario, para luego colaborar con los responsables para remediar los hallazgos y validar las correcciones. Convertirás las lecciones de problemas individuales en estándares prácticos, automatización y mejoras medibles.

Trabajarás estrechamente con Ingeniería de Software, DevOps e Infraestructura, Riesgos y Cumplimiento. En un entorno de activos digitales regulado, aportarás controles técnicos, evidencias y preparación ante incidentes que respalden las obligaciones de seguridad y regulatorias de Ledn.

Este es un rol único de mandato dual con base en España. Junto con el trabajo práctico de ingeniería de seguridad mencionado anteriormente, también actuarás como Chief Information Security Officer (CISO) de la entidad Ledn España, operando dentro de la segunda línea de defensa. En esa capacidad, serás el responsable del Marco de Seguridad de la Información y del Registro de Riesgos de las TIC locales, informarás periódicamente al Consejo sobre la seguridad de la información y los riesgos de las TIC, y actuarás como el principal punto de contacto para la CNMV y los auditores externos en asuntos de ciberseguridad y DORA.

• Diseño seguro y modelado de amenazas Liderar las revisiones de seguridad para nuevos diseños y funciones existentes, traduciendo las amenazas en requisitos de ingeniería concretos antes de que el código llegue a producción.

• Pruebas de penetración Planificar y ejecutar pruebas prácticas de aplicaciones web, APIs, servicios orientados a dispositivos móviles e infraestructura; documentar hallazgos reproducibles, validar la remediación y coordinar evaluaciones independientes cuando sea necesario.

• Validación adversarial Realizar ejercicios de red team y purple team en torno a rutas de ataque realistas, para luego trabajar con los defensores para mejorar los controles preventivos, la telemetría, las detecciones y los manuales de respuesta (playbooks).

• Pull Requests seguros Definir un estándar de seguridad basado en el riesgo para los pull requests, incluyendo requisitos de revisión y puertas de fusión (merge gates) ajustadas para el escaneo de secretos, SAST, revisión de dependencias y propiedad de código sensible.

• Seguridad de productos y APIs Revisar el código de producción y la arquitectura en busca de vulnerabilidades en autenticación, autorización, gestión de sesiones, protección de datos y lógica de negocio; ayudar a los equipos a abordar las causas raíz en lugar de síntomas aislados.

• Seguridad de AWS Evaluar y reforzar nuestro entorno AWS multi-cuenta en IAM, límites de red, cifrado, registro (logging), identidad de carga de trabajo y configuración de servicios, utilizando automatización y política como código (policy-as-code) cuando sea práctico.

• Seguridad de Cloudflare Revisar y reforzar las reglas de WAF, la limitación de tasa (rate limiting), los controles de bots, la configuración de DNS y TLS, las políticas de acceso al edge y la gobernanza de cambios sin interrumpir el tráfico legítimo de los clientes.

• GitHub y cadena de suministro de software Responsabilizarse de la gobernanza de seguridad para repositorios y flujos de trabajo de CI, incluyendo la protección de ramas, CODEOWNERS, tokens de privilegio mínimo, acciones fijadas (pinned actions), controles de dependencias, integridad de artefactos y salvaguardas para código asistido por IA.

• Gestión de vulnerabilidades Triar hallazgos de pruebas internas, escáneres, evaluaciones de terceros y divulgación de vulnerabilidades; establecer objetivos de remediación basados en el riesgo, realizar el seguimiento de los problemas hasta su cierre, retestear las correcciones e informar de tendencias significativas.

• Preparación ante incidentes y habilitación de seguridad Apoyar las investigaciones de seguridad, los ejercicios de mesa (tabletop) y el refuerzo post-incidente, proporcionando al mismo tiempo patrones seguros, orientación específica y apoyo a los "security champions" que ayuden a los equipos de ingeniería a avanzar de forma segura a escala.

• Marco de ciberseguridad e informes al Consejo Responsabilizarse y supervisar el Marco de Seguridad de la Información y el Registro de Riesgos de las TIC locales; informar periódicamente al Consejo sobre la seguridad de la información y los riesgos de las TIC; asegurar la notificación inmediata de incidentes importantes a la Dirección y al Consejo.

• Gobernanza y cumplimiento de DORA Dirigir el Marco de Gestión de Riesgos de las TIC y firmar su informe regulatorio anual; supervisar el programa anual de pruebas de resiliencia operativa digital (pruebas de sistemas y redes más ejercicios de BCP/DRP) para confirmar la resiliencia ante interrupciones; validar el registro de terceros de las TIC para su presentación ante la CNMV.

• Enlace regulatorio y de auditoría Actuar como punto de contacto para la CNMV y los auditores externos en asuntos de seguridad de la información y DORA, en español, incluyendo la notificación a la CNMV de incidentes significativos dentro de los plazos de DORA.

• Supervisión de operaciones de seguridad Supervisar la gestión de vulnerabilidades y las operaciones técnicas de seguridad diarias, escalando las vulnerabilidades críticas e impulsando la remediación con el equipo de TIC.

Senior Security Engineers & CISOs (España), ¡queremos saber de vosotros!

• Como uno de los negocios de activos digitales líderes en el mundo, ofrecemos tremendas oportunidades de crecimiento.

• ¡Un paquete de compensación total integral y de primer nivel que comienza desde tu primer día!

  • Ofrecemos un paquete de tiempo libre remunerado (PTO) competitivo que garantiza que tengas el descanso que mereces.

  • Propiedad en el negocio. A través de acciones compartidas, el personal de Ledn es parte interesada en el negocio y en el futuro de la economía digital.

• Ofrecemos a cada miembro del personal la oportunidad de trabajar de forma remota desde cualquier parte del mundo durante 180 días (sujeto a restricciones).

• Una carrera que te proporciona un propósito en tu trabajo. Eliminamos barreras para que ames lo que haces.